İki PHP Açığı Web Sunucularını Riske Attı

Web siteleri ve web uygulamaları için yaygın biçimde kullanılan PHP’deki iki güvenlik açığı, internete açık sistemlere yönelik koordineli bir yama çalışmasını başlattı. Araştırmacılar, açıkların saldırganların internete açık ve yamalanmamış sunucuların kontrolünü parola olmadan ele geçirmesine imkân verebileceğini söyledi.

PHP2Shell olarak anılan ve CVE-2026-109618 ile CVE-2026-109619 olarak tanımlanan açıklar 2024’te keşfedildi, ancak o sırada istismar edilebilir görülmedi ve yamalanmadı. Calif’teki araştırmacılar daha sonra açıkları istismar etmenin bir yolunu bulup yazılımı sürdüren PHP Foundation’a bildirdi. Vakıf, çarşamba günü yamaları kamuya açıklamadan önce büyük şirketler ve web barındırma sağlayıcılarıyla gizlilik içinde paylaştı.

Açıklar, kurbanın bir bağlantıya tıklamasını veya dosya açmasını gerektirmeden uzaktan kod çalıştırılmasına olanak tanıyor. Saldırganlar bu erişimi kötü amaçlı yazılım yüklemek, veri çalmak veya etkilenen sistemde kalıcı erişim sağlamak için kullanabilir. Kaynak habere göre internete açık web’in yaklaşık %70’i PHP’ye dayanıyor.

Koordineli açıklama süreci şimdiye kadar geniş çaplı istismarı önlemeye yardımcı oldu, ancak araştırmacılar çok sayıda sistemin hâlâ yamalanmadığı ve saldırılara açık olduğu uyarısında bulundu. Habere göre bazı kuruluşlar yamaları uygularken web sitelerini ve hizmetlerini çevrimdışı bıraktı; hükümetler de web sitesi işletenleri riskleri gidermeye çağırmaya başladı. OpenAI ve Wiz’in Hack the Planet girişimi araştırmaya katıldı; Wiz, Calif’in kavram kanıtı istismarlarını doğruladı. Calif, yapay zekânın çalışmaya yardımcı olduğunu, ancak araştırmacıların büyük ölçüde PHP kodu ve istismar geçmişine dair mevcut bilgilerinden yararlandığını söyledi. Amazon, yamalar yayımlanmadan önce PHP2Shell istismarını tespit ettiğini belirtti.